5.5. Funkce vnitřní kontroly

Při posuzování funkcí vnitřní kontroly instituce by příslušné orgány měly vyhodnotit, zda instituce dodržuje obecné pokyny orgánu EBA k vnitřnímu systému správy a řízení a příslušná ustanovení nařízení (EU) 2022/2554 (nařízení DORA)²¹ . V této souvislosti by příslušné orgány měly mimo jiné zvážit, zda:

• a. instituce má vhodný rámec vnitřní kontroly pokrývající všechny oblasti, který je v souladu s modelem „tří linií obrany“, včetně dobře fungujících, účinných a nezávislých funkcí řízení rizik, zajišťování shody s předpisy a interního auditu;
• b. vedoucí pracovníci funkcí vnitřní kontroly i) jsou zařazeni na odpovídající hierarchické úrovni, která jim zajišťuje přiměřenou pravomoc a postavení nezbytné k plnění jejich povinností, ii) mají přímý přístup k vedoucímu orgánu v jeho dozorčí funkci a mohou mu přímo podávat zprávy a iii) mají k dispozici veškeré zdroje nezbytné k plnění jejich úkolů;
• c. instituce má přiměřené písemné zásady vnitřní kontroly, které jsou účinně uplatňovány, a jasně vymezené odpovědnosti za uplatňování tohoto rámce, oddělení funkcí, řádné administrativní a účetní postupy a spolehlivý systém podávání zpráv.

²¹ Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Příslušné orgány by měly posoudit, zda funkce řízení rizik pokrývá celou instituci, zda má ucelený přehled o všech rizicích, zda se aktivně podílí již v rané fázi na vypracování strategie instituce v oblasti řízení rizik a zda sleduje její účinné provádění. Příslušné orgány by měly rovněž určit, zda funkce řízení rizik poskytuje vedoucímu orgánu úplné, aktualizované a relevantní informace související s riziky, které mu umožní stanovit úroveň ochoty instituce podstupovat riziko a související limity rizik. Příslušné orgány by měly také zvážit posouzení spolehlivosti a udržitelnosti strategie řízení rizik a ochoty podstupovat riziko provedené funkcí řízení rizik, jakož i její zapojení do hodnocení dopadu podstatných změn nebo výjimečných transakcí na celkové ri ziko instituce a skupiny (v příslušných případech).

Příslušné orgány by měly posoudit, zda funkce compliance účinně posuzuje a zmírňuje rizika nedodržení předpisů vyplývající z nedodržování platných právních a regulačních požadavků, smluvních závazků nebo interních pravidel a kodexů chování, včetně etických pravidel, a zajišťuje, aby všechna rozhodnutí v oblasti řízení významných rizik tato rizika odpovídajícím způsobem zohledňovala.

Příslušné orgány by měly posoudit, zda funkce interního auditu nezávisle prověřuje a poskytuje objektivní jistotu (v souladu s plánem auditu a podrobným pracovním programem) o vhodnosti a účinnosti zásad, postupů a vnitřních kontrol dané instituce a o soul adu všech činností této instituce, včetně činností zajišťovaných poskytovateli služeb z řad třetích stran, s právními a regulačními požadavky. Příslušné orgány by případně měly posoudit, zda je funkce interního auditu na úrovni skupiny nezávislá, zda má plán auditu na úrovni skupiny založený na riziku, zda má odpovídající zdroje a váhu a zda má přímý hierarchický vztah k vedoucímu orgánu konsolidující instituce.